Cómo detectar un correo de phishing

El phishing funciona porque parece correo normal: un recordatorio de contraseña, una factura, un favor rápido para tu jefe. No detectarás todos por instinto, pero una comprobación breve y repetible detecta la mayoría. Esta guía enumera las señales de alerta en las que coinciden las fuentes oficiales y después repasa tres ejemplos realistas comentando cada señal de alarma.

¿Qué es un correo de phishing?

Un correo de phishing intenta que hagas algo que beneficie a un delincuente: escribir una contraseña en una página falsa, abrir un archivo malicioso, pagar una factura falsa o responder con datos confidenciales. Muchos correos de phishing también usan la suplantación (spoofing), que Microsoft describe como mensajes que "parecen proceder de alguien o de algún lugar distinto de su origen real". Para tener una visión general, incluido cómo funciona el phishing y por qué tiene éxito, consulta qué es el phishing.

El National Cyber Security Centre (NCSC) del Reino Unido resume en cinco palabras los trucos de los estafadores: autoridad, urgencia, emoción, escasez y actualidad. ¿El mensaje dice venir de alguien oficial? ¿Te dicen que tienes poco tiempo? ¿Te provoca pánico, miedo, esperanza o curiosidad? Ten presentes esas cinco palabras mientras lees las señales siguientes.

¿Cuáles son las señales de alerta de un correo de phishing?

Estas señales proceden de la FTC, la CISA y Microsoft. Una sola señal demuestra poco. Dos o tres juntas deberían hacerte parar.

La FTC enumera las historias que más cuentan los estafadores. "Dicen que han detectado actividad sospechosa o intentos de inicio de sesión", afirman que "hay un problema con tu cuenta o tus datos de pago", "incluyen una factura que no reconoces" o quieren que "hagas clic en un enlace para realizar un pago". Si un correo encaja en una de esas historias, detente y piénsalo.

¿Y la ortografía y la gramática?

Microsoft sigue incluyendo las faltas evidentes de ortografía y gramática como señal. Por sí solas ya no son fiables, porque los delincuentes usan herramientas de redacción para producir textos limpios. Nuestra guía sobre correos de phishing creados con IA explica qué ha cambiado. Trata una errata como una pista adicional, no como un requisito.

¿Cómo compruebas el remitente real?

El nombre que ves en tu bandeja de entrada es el nombre visible. Cualquiera puede poner lo que quiera. Mira siempre la dirección que hay detrás.

1. Despliega el remitente. En un equipo, haz clic en el nombre o pasa el ratón por encima. En el teléfono, tócalo.
2. Lee el dominio, la parte que va después de la @. ¿Es el dominio real de la empresa, un servicio de correo gratuito o algo parecido pero no exactamente igual? Microsoft pone ejemplos como "micros0ft.com", donde una "o" se convirtió en un cero, y "rnicrosoft.com", donde la "m" se convirtió en "r" y "n". Nuestra guía sobre phishing con dominios similares explica más trucos.
3. Comprueba la dirección de respuesta. Si pulsas Responder y la dirección cambia, el remitente quiere que las respuestas vayan a otro sitio.
4. Presta atención a los avisos de tu aplicación de correo. Microsoft 365 puede mostrar un signo de interrogación en la foto del remitente o indicar que no pudo verificarlo cuando falla la autenticación. Microsoft también aconseja tener especial cuidado con los mensajes de remitentes desconocidos, sobre todo los marcados como "[External]" (externo).

Una dirección real no hace que un mensaje sea seguro. Si hackean el buzón de un proveedor, el phishing llega desde su cuenta auténtica. Para un análisis más a fondo, pega los encabezados en el Email Header Analyzer (analizador de encabezados de correo) gratuito, que funciona en tu navegador, y lee nuestra guía sobre cómo leer los encabezados de un correo.

¿Cómo compruebas un enlace sin hacer clic?

Microsoft aconseja pasar el ratón por encima del enlace sin hacer clic y comprobar si la dirección que aparece coincide con el enlace del mensaje. En el teléfono, mantén pulsado el enlace para ver una vista previa.

Al leer la dirección, busca el dominio justo antes de la primera barra simple. En https://login.microsoftonline.com.secure-check.example/reset, el dominio real es secure-check.example, no Microsoft. Las palabras de la izquierda son solo adorno.

La CISA incluye las "URL acortadas no fiables" entre las señales de phishing, porque un acortador oculta el destino. Los enlaces escondidos en códigos QR hacen lo mismo y normalmente se escanean con el teléfono; consulta nuestra guía sobre phishing con códigos QR.

Si un mensaje puede ser real, no uses su enlace. Microsoft sugiere abrir una pestaña nueva e ir a la web de la organización desde tu propio favorito guardado o con una búsqueda en internet.

Tres correos de phishing comentados

Los ejemplos siguientes se han escrito para esta guía. Son típicos de lo que llega a las bandejas de entrada de las empresas.

Ejemplo 1: la falsa caducidad de la contraseña

De: IT Support Team <helpdesk@mail-365-support.example> Asunto: ACCIÓN NECESARIA: tu contraseña caduca hoy

Estimado usuario: la contraseña de tu buzón caduca en 2 horas. Para conservar tus mensajes, haz clic abajo y mantén tu contraseña actual. [Mantener mi contraseña]

• El nombre visible dice "IT Support Team", pero el dominio no es el tuyo ni el de Microsoft.
• "Estimado usuario" es un saludo genérico. Tu propio equipo de TI sabe tu nombre.
• "Caduca en 2 horas" es urgencia. Si tu contraseña está caducando de verdad, puedes cambiarla yendo tú mismo a tu página de inicio de sesión habitual.
• "Mantener mi contraseña actual" no tiene sentido como medida de seguridad. Existe para llevarte a una página de inicio de sesión falsa.
• Al pasar el ratón por el botón aparece un dominio que no tiene nada que ver con Microsoft.

Ejemplo 2: la factura que no reconoces

De: Accounts <billing@yourvendor-invoices.example> Asunto: Factura vencida INV-20931, último aviso

Adjuntamos la factura vencida. A partir de mañana se aplicarán recargos por demora. Abre el documento seguro para verla.

• Una factura que no reconoces figura en la lista de historias de phishing de la FTC. La FTC es tajante: "es falsa".
• "Último aviso" y "recargos por demora" añaden presión.
• El dominio añade una palabra al nombre del proveedor real.
• "Abre el documento seguro" suele significar un archivo HTML o un enlace a una página de inicio de sesión falsa. Consulta los tipos de adjuntos de correo peligrosos.

Si trabajas con ese proveedor, llama a tu contacto habitual. Nuestra guía sobre correos de facturas y pagos falsos trata los avisos de renovación y las facturas de dominios y SEO.

Ejemplo 3: el favor rápido del jefe

De: Sam Rivera <sam.rivera.office@gmail.example> Asunto: ¿Estás en tu mesa?

Necesito un favor rápido. Estoy en reuniones todo el día y no puedo hablar. Responde lo antes posible, por favor.

• El nombre es real; la dirección no. Tu CEO usa el dominio de la empresa.
• "No puedo hablar" bloquea la única comprobación que destaparía la estafa.
• Ni enlace ni adjunto. No hay nada que pueda detectar un escáner de malware. El siguiente correo pide tarjetas regalo o una transferencia.

Lee más en nuestras guías sobre estafas de tarjetas regalo del jefe y compromiso del correo empresarial (BEC).

Lista de comprobación del phishing: 10 comprobaciones antes de actuar

Úsala siempre que un correo te pida hacer clic, iniciar sesión, pagar, descargar algo o responder con información.

1. ¿Esperaba este mensaje?
2. ¿La dirección del remitente, no solo el nombre, coincide con la organización?
3. ¿Al responder, la respuesta va a la misma dirección?
4. ¿Me mete prisa, me amenaza o me pide que lo mantenga en secreto?
5. ¿Me pide una contraseña, un código, un pago, tarjetas regalo o datos personales?
6. ¿Todos los enlaces, al pasar el ratón por encima, llevan al dominio real de la organización?
7. ¿Esperaba este adjunto?
8. ¿Mi aplicación de correo muestra "Externo", un signo de interrogación o un aviso de "no se pudo verificar"?
9. ¿Esta persona pediría normalmente esto, y de esta manera?
10. ¿Puedo confirmarlo a través de un número o una web que ya conozco?

Si alguna respuesta te preocupa, sigue la regla de la FTC: contacta con la empresa "usando un número de teléfono o una web que sepas que son reales, no los datos del correo".

¿Qué debes hacer con un correo de phishing?

• No hagas clic, no respondas y no abras los adjuntos.
• Repórtalo con el botón de notificación de tu aplicación de correo. Nuestra guía paso a paso explica cómo reportar un correo de phishing en Outlook, Gmail y Apple Mail, y ante las autoridades.
• En el trabajo, avisa a TI. Un solo aviso puede proteger a todos los demás que recibieron el mismo mensaje.
• Si ya hiciste clic o escribiste una contraseña, sigue ahora mismo qué hacer después de hacer clic en un enlace de phishing.

¿Cómo puede una empresa recibir menos correos de phishing?

La formación ayuda a las personas a detectar lo que se cuela. Menos correos de phishing en las bandejas de entrada significa menos ocasiones de hacer clic.

• Filtra el correo antes de que llegue al buzón. Un filtro comprueba la autenticación, la reputación del remitente, los enlaces y los adjuntos. Consulta cómo funcionan los filtros antispam.
• Activa las etiquetas de remitente externo para que destaque el correo externo que dice ser interno.
• Aplica DMARC en tu propio dominio para que los delincuentes no puedan enviar suplantaciones exactas de tu dirección. Comprueba el tuyo con el DMARC Checker (verificador de DMARC).
• Usa MFA en todas partes, para que una contraseña robada no baste por sí sola.

Próximos pasos

1. Comparte con tu equipo la lista de 10 comprobaciones anterior y acuerda una única forma de reportar el correo sospechoso.
2. Analiza tu dominio con el Email Health Check (revisión de salud del correo) gratuito para ver en qué estado están SPF, DKIM y DMARC.
3. Aprende los pasos para reportarlo en cómo reportar un correo de phishing.
4. Si quieres filtrado de phishing y suplantación por delante de todos los buzones de un dominio, consulta cómo funciona iBlockSpam.

Un filtro detecta gran parte de esto antes de que nadie tenga que juzgarlo. Descubre qué incluye iBlockSpam y cómo funcionan los precios por dominio.

Explora nuestras otras guías sobre phishing y amenazas.